Jails do FreeBSD: visão administrativa de jail.conf, jls, jexec e limites de recursos com rctl

O que é

Os jails do FreeBSD existem desde o FreeBSD 4.X e se baseiam no conceito do chroot(2), que muda o diretório raiz de um conjunto de processos. O Handbook descreve o resultado como a criação de "a safe environment, separate from the rest of the system" (um ambiente seguro, separado do resto do sistema), no qual os processos internos não conseguem acessar arquivos ou recursos externos. Mas um jail vai além de um chroot simples: também isola do resto do sistema a visibilidade dos processos e, opcionalmente, a rede, o que um chroot puro não faz.

Um jail é declarado em /etc/jail.conf como um bloco nomeado de atribuições de parâmetros, por exemplo:

foo {
    host.hostname = "foo.com";
    ip4.addr = 10.1.1.1, 10.1.1.2, 10.1.1.3;
    path = "/var/jail/$name";
    exec.start = "/bin/sh /etc/rc";
    exec.stop = "/bin/sh /etc/rc.shutdown jail";
    mount.devfs;
}

O jail.conf(5) documenta path, host.hostname, ip4.addr/ip6.addr e exec.start/exec.stop como os parâmetros que definem, respectivamente, a raiz do jail, o hostname, os endereços e os comandos de inicialização e de desligamento. O mount.devfs dá ao jail um /dev restrito; $name e ${host.hostname} são exemplos da substituição de variáveis que o formato suporta.

Por que importa

Como um jail é administrado a partir do host, e não acessado como se fosse uma máquina separada na gestão de rotina, as ferramentas do lado do host importam tanto quanto a configuração do próprio jail. O jls(8) lista todos os jails ativos (ou um só, dado um JID ou nome) com seus endereços e caminhos, a forma mais rápida de confirmar o que realmente está em execução. O jexec(8) executa um comando dentro de um jail existente a partir do host; é a maneira usual de obter um shell interativo para diagnóstico sem expor um daemon SSH dentro do jail. Os limites de recursos são definidos com o rctl(8), independentemente da configuração do jail; os exemplos do Handbook limitam CPU, número de processos, arquivos abertos e memória por jail, como em rctl -a jail:classic:pcpu:deny=80. O rctl só funciona com o tunable kern.racct.enable=1 em /boot/loader.conf (uma configuração aplicada no boot), e as regras adicionadas com rctl -a se perdem na reinicialização, a menos que também sejam gravadas em /etc/rctl.conf.

Como aplicar

• Comece pelo jail.conf, e não por invocações repetidas do jail(8) na linha de comando, para que a configuração seja revisável e reproduzível; sysrc jail_enable=YES inicia os jails configurados no boot, e service jail start <name> inicia um deles imediatamente.
• Use jls antes e depois de qualquer reinicialização do host ou de um jail, para confirmar que o conjunto esperado de jails está em execução com os endereços esperados.
• Entre em um jail para manutenção com jexec <jail> <command>, em vez de executar dentro dele serviços com acesso a shell exposto na rede.
• Limite os jails que consomem muitos recursos com regras do rctl por nome de jail (jail:<name>:<resource>:deny=<amount>), para que um jail não esgote os recursos do host nem dos demais jails.

Armadilhas

• Tratar um jail como uma fronteira de segurança completa, equivalente a uma máquina virtual: sem limites do rctl, um jail ainda pode esgotar recursos de todo o host, como memória ou descritores de arquivo.
• Esquecer que exec.start/exec.stop executam os próprios scripts rc do jail: o rc.conf do jail, dentro de path, precisa ter os serviços habilitados da mesma forma que em um host completo; caso contrário, nada é iniciado quando o jail sobe.